# Vol Loganair 6780

Le 15 décembre 2014, un Saab 2000 effectuant le vol Loganair 6780 entre Aberdeen et l'archipel des Shetland, en Écosse, au Royaume-Uni, est frappé par la foudre lors de son approche sur l'aéroport de Sumburgh.
Alors que l'avion est en préparation pour atterrir sur la piste 27 à l'aéroport de Sumburgh, les pilotes interrompent l'approche en raison des mauvaises conditions météorologiques à l'ouest de l'aéroport et se dirigent vers le sud, lorsque l'avion est frappé par la foudre. Le commandant de bord prend alors les commandes, mais l'avion ne répond pas comme attendu. Après avoir atteint 4 000 pieds (1 220 mètres) au-dessus du niveau de la mer, l'avion a piqué à une assiette maximale de 19°, a dépassé de 80 nœuds (148 km/h) la vitesse maximale en opérations (VMO) et atteint un taux de descente de 9 500 pieds par minute (2 895 mètres par minute). L'avion a commencé à remonter après avoir atteint une altitude minimale de 1 100 pieds (335 mètres). Les pilotes ont été contraints de faire demi-tour et de revenir se poser sur l'aéroport d'Aberdeen, où il avait décollé. Après une heure de vol, l'avion, accompagné de ses 30 passagers et 3 membres d'équipage, se pose sans encombre.
Les données enregistrées ont montré que le pilote automatique est resté engagé, même après que la foudre eut frappé l'appareil, contrairement à ce que les pilotes avaient imaginé, et les entrées de tangage à cabrer sur les commandes de vol effectuées par les pilotes ont été contrées par la fonction de compensation de tangage du pilote automatique, qui a fait une entrée à piquer afin de retrouver l'altitude sélectionnée de 2 000 pieds (610 mètres).
Après l'incident et la publication du rapport d'enquête par l'Air Accidents Investigation Branch (AAIB), cinq recommandations de sécurité sont formulées concernant la conception et les exigences de certification du système de pilote automatique.

## Avion et équipage

L'avion impliqué est un Saab 2000, immatriculé G-LGNO$^,$, ayant effectué son premier vol en mars 1995. Il est propulsé par deux turbopropulseurs Rolls-Royce AE 2100A et compte 26 672 heures de vol au moment de l'accident. Le Saab 2000 est un avion bimoteur à turbopropulseur conçu pour transporter jusqu'à 53 passagers. Il a été certifié en 1994 et la production a cessé en 1999, après la construction de 63 appareils.
L'avion possède une vitesse maximale en opérations (VMO) de 270 nœuds (500 km/h) au-dessus de 11 000 pieds (3 352 mètres), qui se réduit à 250 nœuds (463 km/h) en dessous de 9 000 pieds (2 743 mètres). Lors des tests de certification, la vitesse maximale atteinte a été de 318 nœuds (589 km/h).
Le commandant de bord, âgé de 42 ans, est employé de la compagnie aérienne depuis 2005. Il compte 5 780 heures de vol dont 143 sur Saab 2000. Avant de voler ce type d'avion, il pilotait des Saab 340 et obtient sa qualification de type sur Saab 2000 en août 2014.
La copilote, âgée de 35 ans, est employée de la compagnie depuis début 2014. Elle compte 1 054 heures de vol dont 260 sur Saab 2000. Elle a obtenu sa qualification de type sur l'avion en mai 2014.
La compagnie aérienne écossaise Loganair est une franchise de Flybe, compagnie aérienne à bas prix britannique jusqu'en septembre 2017, où elle devient indépendante. Au moment de l'incident, elle opère donc sous une livrée Flybe et sous ses couleurs blanches et bleues.

## Déroulement du vol
### Préparation

Avant le vol, l'avion est en bon état de service sans aucun défaut apparent. Bien que les conditions météorologiques à Aberdeen étaient agréables, les prévisions pour Sumburgh prévoyaient des orages avec de la pluie, de la neige, de la grêle, et des vents soufflant jusqu'à 60 nœuds (111 km/h) en début de soirée.
Les deux pilotes, accompagné de trente passagers et d'un membre de l'équipage de cabine, effectuent une rotation sans incident d'Aberdeen à Sumburgh et inversement, puis se préparent pour la deuxième rotation avec le commandant de bord en tant que pilote aux commandes. Pour effectuer le vol d'une durée d'environ une heure, 1 828 kilogrammes de carburant sont nécessaires. Pour profiter du prix inférieur du carburant à Aberdeen, les pilotes remplissent les réservoirs et la charge réelle de carburant était de 3 000 kilogrammes.

### Approche

Après un vol sans encombre, l'avion descend à 2 000 pieds (610 mètres) au-dessus du niveau de la mer et s'établit sur l'approche à environ 9 milles nautiques (17 kilomètres) à l'est de l'aéroport. Alors que l'avion tourne vers le sud en direction de la piste, il est frappé par la foudre, qui entre en contact avec la cellule au niveau du radôme, directement devant le poste de pilotage, et ressort au niveau de l'APU — groupe auxiliaire de puissance — à l'extrémité arrière de l'avion$^,$. Une « foudre en boule » est apparue brièvement dans la cabine juste avant l'impact$^,$. Le commandant, en pleine échange radio, cesse sa transmission et prend immédiatement le contrôle de l'appareil, où il commence à effectuer des entrées de tangage à cabrer sur les commandes de vol. Pendant ce temps, la copilote transmet un appel de détresse — Mayday — au contrôleur aérien, qui offre « toutes les options » à l'équipage pour une approche ou un déroutement$^,$.
L'avion commence alors à monter mais le commandant se rend compte que ses efforts de plus en plus importants sur les commandes de vol ne semblent pas avoir l'effet escompté. La copilote applique également des entrées de tangage à cabrer, mais perçoit aussi que l'avion ne répond pas comme prévu. Des indications d'erreurs du compensateur de tangage et de roulis s'affichent sur les écrans de vol principaux (PFD) ainsi que des avertissements d'erreurs du compensateur de tangage et de roulis du pilote automatique. Dès lors, le commandant de bord demande à son copilote d'activer l'interrupteur de compensation d'urgence de la gouverne de profondeur, mais cela n'a eu aucun effet, car le système n'a pas détecté la condition de défaillance nécessaire pour armer l'interrupteur d'urgence.
L'avion atteint 4 000 pieds (1 220 mètres) au-dessus du niveau de la mer, lorsque l'assiette s'oriente vers un piqué et une descente s'amorce. À ce moment-là, des données non valides provenant de l'un des calculateurs de données de vol provoquent le désengagement du pilote automatique alors que le compensateur de tangage est, à ce moment, presque entièrement en piqué$^,$. Le taux de descente maximal a été de 9 500 pieds par minute (2 895 mètres par minute). L'assiette en tangage atteint 19° en piqué et la vitesse 330 nœuds (611 km/h), soit 80 nœuds (148 km/h) de plus que la vitesse maximale en opérations (VMO) de l'avion. Pendant ce temps, le contrôleur a continué d'informer occasionnellement les pilotes sur leur altitude.
Les pilotes ont maintenu les entrées de tangage à cabrer et l'avion a commencé à remonter. À l'approche de l'altitude minimale atteinte (1 100 pieds, — 335 mètres —), le système d'avertissement de proximité du sol (EGPWS) génère des alertes de « taux de chute » (sink rate) et de « remontée » (pull-up). Le commandant a appliqué la pleine puissance et l'avion a commencé à grimper$^,$. La montée s'est poursuivie et l'avion s'est dérouté vers Aberdeen, en croisière au niveau de vol FL240 (24 000 pieds, soit 7 315 mètres) et l'avion s'est posé sans encombre$^,$$^,$.

## Enquête
### Données préliminaires

Après les faits, l'Air Accidents Investigation Branch (AAIB), l'organisme britannique chargé des enquêtes sur les accidents aériens au Royaume-Uni, ouvre une enquête sur l'incident.
En premier lieu, une inspection détaillée de l'avion a été effectuée. Quelques petites marques de suie avec des dommages à la surface du radôme ainsi que de faibles dommages causés par la chaleur à l'intérieur étaient présentes, mais sans aucun trous. L'échappement de l'APU a été endommagé par des sections de métal fondu, mais aucun autre dommage n'a été révélé. Les tests et les inspections du système de commande de la gouverne de profondeur et du système de pilote automatique n'ont révélé aucune anomalie$^,$.
L’examen des informations météorologiques montre que l’avion a subi un impact de foudre « déclenché » ('triggered' lightning strike), qui a été détecté et enregistré à la position de l’avion à 19 h 10 min 20 s par un système de détection de la foudre utilisé par le Met Office, le service national britannique de météorologie.

### Comportement des pilotes et de l'avion après l'impact

Immédiatement après l'impact de la foudre, les deux pilotes effectuent des actions à cabrer sur les commandes de vol, afin de poursuivre l'annulation de l'approche, ce qui, en même temps de petites augmentations de la puissance du moteur, entraîne la montée de l'avion. Le compensateur de tangage (commandé par le pilote automatique) a alors commencé à se déplacer dans la direction opposée en essayant de regagner l'altitude sélectionnée de 2 000 pieds (610 mètres). Le pilote automatique étant toujours engagé, les pilotes devaient appliquer une force de près de onze kilogrammes (24 lbf) afin de déplacer la gouverne de profondeur. Au cours des deux minutes et demie suivantes, une force croissante est appliquée sur les commandes qui a continuellement surpassé celle du pilote automatique, tandis que ce dernier a continué à commander le compensateur vers un piqué, mais l'avion, avec plusieurs changements de puissance du moteur, a continué de monter, en plusieurs étapes, vers 4 000 pieds (1 220 mètres).
Alors que l'avion atteint 4 000 pieds au-dessus du niveau de la mer, les pilotes exercent une pression de plus de 36 kilogrammes (80 lbf) sur les commandes de vol, qui se trouvent presque complètement en arrière (position à cabrer). Le pilote automatique a continué de commander le compensateur de tangage en piqué et pendant environ dix secondes, l'avion reste à un peu plus de 4 000 pieds, période pendant laquelle l'assiette commence à diminuer et l'avion a accéléré car l'autorité de compensation de tangage est devenue supérieure à l'autorité des commandes de vol, entièrement en position à cabrer.

### La descente incontrôlée

Le compensateur de tangage s'est ensuite arrêté à un peu moins de 9° en piqué (sur un maximum de 10°) et en moins de cinq secondes, l'avion descend à 1 500 pieds par minute (457 mètres par minute) et accélère, point auquel la puissance du moteur a été réduite à 50 %. L'avion a continué à descendre et d'accélérer et la puissance a encore été réduite à environ 5 % (vol au ralenti). Cependant, six secondes plus tard, alors que l'avion se trouve à 3 600 pieds (1 100 mètres) à une vitesse verticale de 4 250 pieds par minute (1 295 mètres par minute) (en augmentation) et à une assiette de 10° en piqué, le pilote automatique se désengage.
Les pilotes ont maintenu les commandes de vol en position à cabrer, ont appliqué des commandes de compensation de tangage à cabrer et de pleine puissance des moteurs et l’avion a commencé à monter au moment où le système d'avertissement de proximité du sol (EGPWS) a émis une alerte de « taux de chute » (sink rate). Cela a été suivi par des alertes de « remontée » (pull-up) pendant les neuf secondes suivantes, au cours desquelles le taux de descente maximal enregistré a été de 9 500 pieds par minute (2 895 mètres par minute) alors que l’avion passait 1 600 pieds (487 mètres).

### Comportement du pilote automatique

L'AAIB note que « le pilote automatique, sentant que l'avion se trouvait au-dessus de l'altitude sélectionnée de 2 000 pieds, a commencé à piquer du nez pour regagner cette altitude. Comme le pilote automatique était toujours engagé, les forces de contrôle subies par le commandant (s'opposant à ses interventions) étaient plus élevées que d'habitude pour un déplacement de la gouverne, et il a constaté que l'avion ne se comportait pas normalement. Il a peut-être attribué cela à un dysfonctionnement des commandes de vol causé par la foudre ». De plus, selon le rapport d'enquête, « le pilote automatique s'est désengagé à une assiette en piqué de 10° en raison de la panne du calculateur de vol numéro 2 (ADC, Air Data Computer). Si cela ne s'était pas produit, le pilote automatique se serait désengagé lorsque l'aéronef aurait atteint sa limite de tangage à 17° en piqué ».
Une analyse de l'enregistreur des données de vol (FDR) a révélé que le calculateur des commandes de vol numéro 2 (FCC, Flight Control Computer) a provoqué le désengagement du pilote automatique à 19 h 13 car ce dernier a manqué de données ou reçu de mauvaises données de l'ADC 2 pendant une période d'au moins 99 millisecondes. Le rapport précise qu'« il n'y a pas eu de défauts ultérieurs du calculateur de vol jusqu'en mars 2015, donc l'ADC 2 n'a pas été retiré pour une enquête plus approfondie ». Il apparaît donc certain que si une panne dans un des calculateurs de vol ne s'était pas produite, alors que l'avion était déjà en piqué, les pilotes n'auraient sans doute pas pu récupérer le contrôle de l'appareil et ce dernier se serait probablement abîmé en mer$^,$.

### Conclusions

Dans son rapport final sur l'incident publié en septembre 2016, l'Air Accidents Investigation Branch (AAIB) déclare que « les actions du commandant à la suite de l'impact de foudre ont consisté à effectuer des entrées manuelles sur les commandes de vol, ce qui semble avoir été instinctif et peut avoir été basé sur son hypothèse que le pilote automatique se déconnecterait en cas d'impact de foudre. Cependant, ce dernier ne s'est pas déconnecté et a tenté de maintenir une altitude cible de 2 000 pieds (610 mètres) en réglant le compensateur en piqué pendant que le commandant effectuait des entrées de tangage à cabrer ». « La force sur les commandes ressentie par le commandant était plus élevée que la normale puisque le pilote automatique s'opposait à ses interventions et il a peut-être attribué cela à un dysfonctionnement des commandes de vol causé par la foudre. Il ne se souvenait pas avoir vu ou entendu aucun des avertissements sonores ou visuels qui indiquaient que le pilote automatique était toujours engagé. Ceci est probablement le résultat d'un tunnel cognitif ».
De plus, le rapport poursuit : « Le commandant a appliqué et maintenu une entrée à cabrer. Cependant, l’autorité de compensation en piqué du pilote automatique a dépassé l’autorité à cabrer du commandant et l’avion a piqué et est descendu, atteignant une vitesse de descente maximale de 9 500 pieds par minute (2 895 mètres par minute). Le pilote automatique s’est ensuite désengagé en raison de données non valides provenant de l'un des calculateurs de données de vol, ce qui a permis aux commandes de tangage à cabrer du commandant de prendre effet. L'avion a commencé à monter juste avant d'atteindre une altitude minimale de 1 100 pieds (335 mètres) ».
Sur 22 types d'avions de ligne étudiés, le Saab 2000 était le seul à disposer d'un pilote automatique qui, lorsqu'il était engagé, présentait les trois attributs suivants :
* l'application d'une force sur les commandes (par les pilotes) déplacera la gouverne mais ne provoquera pas le désengagement du pilote automatique ;
* le pilote automatique peut compenser dans la direction opposée à l'action des pilotes sur les commandes ;
* un appui sur les commutateurs principaux de compensation n'a aucun effet et ne provoquera pas le désengagement du pilote automatique.
De plus, le rapport de l'AAIB souligne qu'« un autre facteur qui a contribué à cet incident était le fait qu'à grande vitesse, le compensateur de tangage a plus d'autorité sur la gouverne de profondeur que les commandes de vol. Ainsi, même avec le manche tiré, en position à cabrer, le pilote n'a pas pu empêcher le nez de l'avion de se baisser ».

### Effet de surprise

Dans une étude intitulée « Startle Effect Management » (« Gestion de l'effet de surprise »), commandée par l'Agence européenne de la sécurité aérienne (EASA) et publiée en 2018, les chercheurs remarquent que l'incident est « un cas intéressant dans lequel sa gravité n'a pas été définie par la cause de la surprise (dans ce cas, la foudre) mais par la séquence des événements qui ont suivi. En effet, après la foudre, l'avion était pleinement fonctionnel et un simple désengagement du pilote automatique aurait suffi aux pilotes pour manœuvrer l'avion comme ils le souhaitaient. Cependant, les effets de surprise, probablement associés au stress, ont réduit l'état d'esprit cognitif des pilotes à effectuer des entrées manuelles immédiates, ignorant les autres modes de contrôle. Bien sûr, l'hypothèse alternative est que le commandant de bord (pensant que le pilote automatique s'était désengagé à cause de la foudre) a pu supposer que son système de commande manuelle était altéré et a déclenché son biais de confirmation dans cette direction. Malheureusement, si les pilotes s'étaient abstenus d'une réaction manuelle instantanée, il aurait pu être possible que le problème secondaire de la lutte contre le pilote automatique soit complètement évité et conduit à un vol beaucoup plus sûr ».

### Recommandations

Afin de contribuer à éviter une répétition similaire d'une perte de contrôle due à la résistance du pilote automatique sur le Saab 2000 et d'autres types d'aéronefs, cinq recommandations de sécurité sont formulées à l'attention de l'Agence européenne de la sécurité aérienne (EASA) et de la Federal Aviation Administration (FAA) aux États-Unis$^,$$^,$, dont la « révision de la conception du système de pilote automatique du Saab 2000 ainsi que d'autres aéronefs et l'exigence de modifications pour s'assurer que le pilote automatique ne crée pas de danger lorsque l'équipage applique une force aux commandes de vol »$^,$$^,$.

## Médias

L'accident a fait l'objet d'un épisode dans la série télévisée Air Crash nommé « Cauchemar en mer du Nord » (saison 21 - épisode 1).